Dovoli eno destinacijo Squid brez preverjanja pristnosti proxyja

Nadzorna stran se mora izvajati brez prijave v proxy. Očitno pravilo je http_access allow status_site. Če je postavljeno pred preverjanjem pristnosti, lahko izjemo dodeli tudi odjemalcem, ki jih nikoli niste nameravali oskrbovati.

Pri Squid 6 ali 7 držite pogoje izjeme skupaj. Po obstoječih zaščitah za upravljanje, nevarne vrata, CONNECT in lokalne storitve je lahko ustrezni del videti takole:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Omrežje in ime gostitelja sta ogradi. Preverjanje pristnosti še vedno potrebuje obstoječo konfiguracijo pomočnika. To je del izjeme v pravilniku dostopa, ne popolna konfiguracija proxyja.

Prva vrstica dovoli izbranim odjemalcem to destinacijo brez vrednotenja ACL za prijavo. Naslednja dovoli tem odjemalcem drugam šele po preverjanju pristnosti. Prejšnja široka dovoljenja ali poznejše alternativne poti lahko spremenijo rezultat, zato preberite celoten urejen pravilnik, vključno z vključenimi datotekami.

Izjeme ne premikajte nad zaščite ciljnih vrat samo zato, da bi se izognili pozivu. Pooblaščeno spletno mesto na nenamernih vratih je še vedno druga pot. Odločite se tudi, ali naj se kvalificira točno gostiteljsko ime ali njegove poddomene, namesto da dodate nepotrebno široko pripono.

Izjema za ime gostitelja zajema ustrezno destinacijo, ne vsake odvisnosti, ki jo naloži njegova stran. Preusmeritve in sredstva tretjih oseb lahko zakonito naletijo na običajno zahtevo za prijavo.

Za navaden HTTP lahko proxy uporabi natančnejše informacije o URL, kjer je to primerno. Običajna zahteva HTTPS CONNECT ne razkrije poti strani, zato pravila »samo ena stran« ni mogoče sklepati iz izjeme tunela za celotnega gostitelja.